France : la Cnil rappelle les règles en matière de collecte de données personnelles dans le cadre de la crise sanitaire liée au Covid-19

Interrogée sur les possibilités de collecter, en dehors de toute prise en charge médicale, des données concernant des employés/agents ou visiteurs afin de déterminer si des personnes présentent des symptômes du coronavirus, ou des données relatives à des déplacements et évènements pouvant relever de la sphère privée, l’autorité en charge de la protection des données personnelles a jugé utile de faire un point sur « ce qu’il est possible de faire » et « ce qu’il ne faut pas faire ». Elle a donc publié, le 6 mars, des « rappels sur la collecte des données personnelles dans le cadre de la crise sanitaire liée au coronavirus COVID-19 ». Elle y souligne notamment que « les employeurs ne peuvent pas prendre des mesures susceptibles de porter atteinte au respect de la vie privée des personnes concernées, notamment par la collecte de données de santé qui iraient au-delà de la gestion des suspicions d’exposition au virus. Ces données font en effet l’objet d’une protection toute particulière, tant par le RGPD que par les dispositions du Code de la santé publique». Par example, « les employeurs doivent s’abstenir de collecter de manière systématique et généralisée, ou au travers d’enquêtes et demandes individuelles, des informations relatives à la recherche d’éventuels symptômes présentés par un employé/agent et ses proches. » En revanche, ils peuvent en cas de signalement, consigner la date et l’identité de la personne suspectée d’avoir été exposée et les mesures organisationnelles prises (confinement, télétravail, orientation et prise de contact avec le médecin du travail, etc.).